Données fiscales clients : le secret professionnel à l'épreuve du piratage

Réfléchissez à ce que contient réellement votre poste de travail. Pour chaque client, vous détenez ses revenus exacts, la composition de son patrimoine, ses comptes bancaires, parfois ses identifiants d'accès à l'espace impots.gouv, ses projets de cession, ses montages familiaux et ses arbitrages confidentiels. Aucun autre prestataire — pas même la banque — ne concentre une vue aussi complète.

Cette concentration fait du fiscaliste une cible de choix pour les cybercriminels. Un seul fichier exfiltré peut servir à l'usurpation d'identité, au détournement de remboursement d'impôt ou à la fraude au virement. Et contrairement à une carte bancaire, ces données ne se remplacent pas : un revenu, une stratégie patrimoniale, une fois divulgués, le sont définitivement.

Selon votre statut et votre périmètre d'intervention, vous pouvez être tenu à une obligation de discrétion renforcée, voire de secret professionnel, dont la violation est sanctionnée. Une fuite de données n'est alors pas un simple incident informatique : c'est potentiellement un manquement à une obligation déontologique et contractuelle.

Le cumul est redoutable. Une même fuite peut déclencher :

• une violation au sens du RGPD, avec obligation de notification à la CNIL sous 72 heures et, le cas échéant, information des personnes concernées ;
• un manquement contractuel à votre engagement de confidentialité envers le client ;
• une responsabilité civile si le client subit un préjudice (fraude, usurpation, perte de chance).

Là où la RC Pro couvre la faute professionnelle, c'est l'assurance cyber qui prend en charge la gestion technique et juridique de l'incident lui-même : c'est leur complémentarité qui protège réellement votre cabinet.

Traiter des données fiscales fait de vous un responsable de traitement au sens du RGPD. Cela impose plusieurs obligations dont l'oubli pèse lourd en cas de contrôle ou de fuite :

• tenir un registre des traitements décrivant les données collectées et leur finalité ;
• appliquer le principe de minimisation : ne conserver que le nécessaire, pendant une durée justifiée ;
• garantir la sécurité par des mesures techniques (chiffrement, sauvegardes, double authentification) ;
• notifier toute violation à la CNIL dans les 72 heures.

Le manquement à ces obligations expose à des sanctions administratives de la CNIL, indépendantes du préjudice subi par les clients. Une assurance cyber inclut généralement l'assistance d'un expert pour piloter la notification et limiter le risque de sanction.

Au-delà du rançongiciel, une menace plus discrète guette les cabinets de conseil fiscal : la compromission de messagerie. Un attaquant accède à votre boîte e-mail, observe vos échanges, puis se fait passer pour vous auprès d'un client — ou pour le client auprès de vous. Il transmet de fausses coordonnées bancaires pour le règlement d'honoraires, ou détourne un remboursement d'impôt.

Parce que l'e-mail provient réellement de votre adresse, le client n'a aucune raison de se méfier. Lorsque la fraude est découverte, il subit une perte financière directe et se retourne vers vous : votre système a été le vecteur de l'attaque, votre vigilance est questionnée. La frontière entre votre responsabilité et la sienne devient un terrain de litige.

Ce scénario illustre pourquoi la sécurité d'un fiscaliste n'est jamais qu'une affaire technique : elle est indissociable de la relation de confiance qui fonde votre activité. Une assurance cyber qui couvre la fraude par compromission de messagerie et finance la gestion de crise prend ici tout son sens, en complément de la RC Pro qui traite la part de responsabilité professionnelle.

Imaginons un cabinet de fiscaliste indépendant, mi-avril, en pleine période de déclarations. Un rançongiciel chiffre l'ensemble des dossiers. Les conséquences s'enchaînent :

Le poste le plus sournois est le délai fiscal manqué : si l'attaque vous empêche de déposer la déclaration d'un client dans les temps, les pénalités qui en résultent peuvent vous être réclamées. Le cyber-risque rejoint alors le risque de prestation, à l'intersection exacte de la cyber-assurance et de la RC Pro.

Rares sont les fiscalistes qui travaillent en totale autonomie technique. Logiciels de gestion en mode cloud, plateformes de signature électronique, espaces de partage de documents, sous-traitance de la saisie : chaque maillon de cette chaîne manipule, à un moment, les données de vos clients. Et chaque maillon est un point d'entrée potentiel.

Au sens du RGPD, ces prestataires sont vos sous-traitants. Vous restez responsable du traitement, ce qui implique de vous assurer qu'ils présentent des garanties suffisantes et de formaliser cette relation par un contrat de sous-traitance conforme. Si une fuite survient chez l'un d'eux, votre responsabilité de responsable de traitement peut être engagée vis-à-vis de vos clients et de la CNIL.

Trois précautions limitent ce risque indirect :

• Choisir des prestataires hébergeant les données dans l'Union européenne et offrant des garanties de sécurité vérifiables.
• Encadrer contractuellement chaque sous-traitant (clauses RGPD, obligations de sécurité, notification des incidents).
• Vérifier que votre couverture cyber s'étend aux incidents survenus chez un prestataire et affectant vos clients.

La responsabilité ne s'externalise pas avec les données : elle reste, en dernier ressort, sur vos épaules.

La meilleure police d'assurance reste celle que vous n'aurez pas à activer. Quelques mesures réduisent drastiquement votre exposition :

• Double authentification sur la messagerie, les outils métier et les accès clients.
• Sauvegardes hors ligne testées régulièrement : une sauvegarde non restaurable est une illusion de sécurité.
• Chiffrement des postes portables et des supports amovibles.
• Vigilance phishing : les attaques visant les cabinets de conseil passent presque toujours par un e-mail piégé.
• Cloisonnement des accès : un collaborateur n'a besoin que de ses dossiers, pas de l'ensemble du portefeuille.

Ces mesures abaissent la probabilité d'incident, mais ne la ramènent jamais à zéro. Pour le résiduel — celui qui paralyse un cabinet entier — la couverture cyber reste l'investissement le plus rationnel. Découvrez l'ensemble des garanties pensées pour le métier de fiscaliste.